CVE-2025-53689

چکیده

یک آسیب‌پذیری از نوع Blind XXE در کتابخانه‌های jackrabbit-spi-commons و jackrabbit-core مربوط به Apache Jackrabbit نسخه‌های قبل از 2.23.2 شناسایی شده است. این آسیب‌پذیری به دلیل استفاده از یک سازنده سند ناایمن (unsecured document builder) برای بارگذاری مجوزها می باشد.

توضیحات

یک آسیب‌پذیری از نوع Blind XXE در کتابخانه‌های jackrabbit-spi-commons و jackrabbit-core مربوط به پروژه Apache Jackrabbit شناسایی شده است. این آسیب‌پذیری زمانی رخ می‌دهد که سیستم برای بارگذاری اطلاعات مربوط به مجوزهای دسترسی، از یک Document Builder ناایمن استفاده می‌کند که ورودی XML را بدون بررسی مناسب پردازش می‌کند. در صورت بهره‌برداری از این آسیب پذیری، مهاجم می‌تواند با ارسال داده‌های XML مخرب، حتی بدون دریافت مستقیم پاسخ، باعث افشای اطلاعات حساس سیستم از طریق تزریق موجودیت خارجی شود (که به آن Blind XXE گفته می‌شود). این آسیب پذیری محرمانگی، یکپارچگی و در دسترس پذیری را تهدید می کند. به روزرسانی به نسخه های جدید منتشر شده این آسیب پذیری را پچ می کند.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

نتیجه گیری

با توجه به اینکه نسخه‌های آسیب‌پذیر دیگر پشتیبانی نمی‌شوند، به کاربران توصیه می‌شود در اسرع وقت نسخه آسیب‌پذیر Apache Jackrabbit را به نسخه‌های امن به روزرسانی کنند.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-53689
2. https://www.cvedetails.com/cve/CVE-2025-53689/
3. https://lists.apache.org/thread/5pf9n76ny13pzzk765og2h3gxdxw7p24
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-53689
5. https://vuldb.com/?id.316333
6. https://nvd.nist.gov/vuln/detail/CVE-2025-53689
7. https://cwe.mitre.org/data/definitions/611.html